Durch eine neue Einstellung im Admin-Center von Microsoft 365 (M365) können IT-Verantwortliche den Speicherort der von M365 verarbeiteten Daten auswählen. Die Einstellung gilt für die Dienste Copilot/Copilot Chat, Exchange Online, OneDrive, Teams und SharePoint. Allerdings kann die IT hier nur zwischen der Speicherung der Daten innerhalb Deutschlands oder innerhalb von regionalen EU-Datengrenzen wählen.

Datenschutzrechtlich hat die neue Einstellung keine Relevanz. Seit dem Jahr 2020 werden alle M365-Daten deutscher Kunden ausschließlich in Microsoft Rechenzentren in Deutschland gespeichert und verarbeitet. Nun kann man dies auf die EU ausweiten. Microsoft will damit eine bessere Lastenverteilung erzielen.

Auch wenn als Datenstandort EU-Regionen ausgewählt werden, können bei der Nutzung von M365 Microsoft-Gesellschaften in den USA (und ggf. auch US-amerikanische Behörden) Zugriff auf Teile der in M365 gespeicherten Daten haben. Dadurch liegt datenschutzrechtlich die Möglichkeit einer Übermittlung von personenbezogenen Daten in die USA vor.

Vor dem Hintergrund der Risiken der Nutzung amerikanischer Software werden datenschutzseitig umfangreiche rechtliche sowie technische und organisatorische Maßnahmen empfohlen. Eine dieser Maßnahmen ist der Abschluss des Microsoft Data Protection Addendum (DPA) inklusive Standardvertragsklauseln (SCC). Hierzu gibt es eine Hilfestellung in Form einer Handreichung des Landesbeauftragten für den Datenschutz Niedersachsen (LfD) in Zusammenarbeit mit sechs weiteren Datenschutzaufsichtsbehörden unter https://www.lfd.niedersachsen.de/startseite/infothek/presseinformationen/einsatz-von-microsoft-365-praxis-tipps-fur-vertrage-mit-microsoft-225722.html

UPDATE: Die Produkte, die unter Anhang III KI-VO fallen, sollten seit August 2026 als Hochrisiko-KI-Systeme eingestuft werden und die Pflichten aus Abschnitt 2 für Hochrisiko-KI-Systeme und die Anforderungen an diese Hochrisiko-KI-Systeme erfüllt werden. Die Pflichten für Anbieter und Betreiber von Hochrisiko-KI-Systemen nach Anhang III greifen nun aber erst ab Dezember 2027. Wer KI in diesen Bereichen einsetzt, sollte bis dahin geklärt haben, ob er als Betreiber im Sinne der KI-VO gilt und welche Pflichten daraus folgen.

KI-Systeme, die in Artikel 6 Absatz 1 definiert sind, nämlich KI-Systeme, die ein Sicherheitsbauteil eines Produkts ODER selbst ein solches Produkt sind, das einer EU-Harmonisierungsrechtsvorschrift unterliegt, sind daher derzeit noch nicht als hochriskant einzustufen. Die Pflichten für Hochrisiko-Systeme in regulierten Produkten nach Anhang I greifen, etwa bei KI in Medizinprodukten greifen ab August 2028.

Ergänzend zum Data Act, der europäischen Verordnung über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung, ist das deutsche Durchführungsgesetz in Kraft getreten. Als europäische Verordnung ist der Data Act unmittelbar geltendes Recht. Die konkrete Umsetzung der Verordnung in Deutschland ist im Data-Act-Durchführungsgesetz geregelt. Der Bundesgesetzgeber hat damit bspw. die Aufsichtsstruktur festgelegt und Bußgeldtatbestände eingeführt.

Wer vernetzte Geräte des sogenannten „Internet der Dinge“ herstellt und verbreitet, unterliegt den Pflichten des Data Act. Der Data Act regelt alle Daten – also auch Maschinendaten, IoT-Daten, Produktionsdaten. Der Data Act soll den Datenmarkt in der EU fairer machen.

Die Bundesnetzagentur ist für die Anwendung und Durchsetzung des Data Act zuständig und zugleich zentrale Anlaufstelle für alle Fragen von Bürgerinnen und Bürgern, Unternehmen und öffentlichen Stellen im Zusammenhang mit der Durchführung des Data Act. In Bezug auf die Regelungen des Data Acts, die an personenbezogene Daten anknüpfen, liegt die Zuständigkeit bei den Datenschutzaufsichtsbehörden.

Besteht das Recht des Betroffenen oder auch die gesetzliche Verpflichtung, die personenbezogenen Daten zu löschen, muss dies nachweisbar dokumentiert werden und dem Betroffenen auf Nachfrage auch zur Verfügung gestellt werde können.

Doch wie zeige ich einem Betroffenen in der Praxis, dass seine E-Mails oder andere seiner personenbezogenen Daten tatsächlich aus den Systemen und Anwendungen gelöscht wurden?

Aufsichtsbehörden und Gerichte erwarten, dass angemessene Maßnahmen ergriffen werden. Im Vorfeld müssen Einstellungen getätigt werden, die die tatsächliche Löschung und nicht nur die Sperrung von Daten und Usern ermöglicht. Nicht ausreichend als Nachweis sind jedenfalls Schreiben die lediglich Sätze wie „Wir haben gelöscht…“ ohne einen Nachweis enthalten.

Folgende Nachweise können rechtlich ausreichend sein:

1. Systeminterne Löschlogs mit Zeitstempel und User-ID

2. Screenshots aus Admin-Panels, die zeigen, dass der Datensatz nicht mehr existiert (vorher/nachher)

3. Konfigurationsdokumentation: „Automatic Purge nach 90 Tagen aktiviert“ + Screenshot

4. Bestätigung vom Cloud-Anbieter

5. Backup-Strategie-Dokument: „Backups werden nach 30 Tagen überschrieben, nicht archiviert“)

6. Versicherung an Eides Statt (als ultima ratio)

Im Jahresbericht 2025 der Berliner Datenschutzaufsicht wurde verdeutlicht, dass Verantwortliche und Auftragsverarbeiter die direkten Kontaktdaten ihrer Datenschutzbeauftragten (DSB) veröffentlichen müssen, um Aufsichtsbehörden und Betroffenen zu ermöglichen, vertraulich Kontakt aufzunehmen. Auf eingehende Nachrichten wie auch auf das Telefon der DSB dürfen nur diese selbst oder dem DSB unterstellte weisungsgebundene Mitarbeiter Zugriff haben (wie Ihr ds²-Team), nicht aber unternehmensinterne DSK die Weisungen von Geschäftsführung oder Führungskräften unterliegen. Darüber hinaus ist zu beachten, dass Post, die an den DSB gerichtet ist, nicht in der Poststelle geöffnet werden darf.

Verantwortliche haften auch für Fehlverhalten des Auftragsverarbeiters.

Bei einer Auftragsverarbeitung erhält ein Dritter den Auftrag, personenbezogene Daten nach genauen Weisungen des Verantwortlichen zu verarbeiten. Der Auftragsverarbeiter kann dabei als ”verlängerter Arm“ verstanden werden. Werden personenbezogene Daten im Auftrag durch Auftragsverarbeiter verarbeitet, ist der Verantwortliche für die Einhaltung der Vorschriften zum Datenschutz - insbesondere der DSGVO - verantwortlich. Es ist nicht nur erforderlich vor der Auftragsvergabe eine Prüfung der Geeignetheit des Auftragsverarbeiters vorzunehmen und in einem Vertrag festzulegen, dass Überprüfungen stattfinden dürfen. Die technischen und organisatorischen Maßnahmen des Auftragsverarbeiters sind im Laufe der Geschäftsbeziehung tatsächlich regelmäßig zu prüfen.

Die Dienststelle des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg ist umgezogen.

Die neue Adresse lautet:

Der Landesbeauftragte für den Datenschutz und
die Informationsfreiheit Baden-Württemberg
Heilbronner Straße 35
70191 Stuttgart

Gleiches gilt für den Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI)

Ab dem 16.03.2026 ist der HBDI unter der folgenden Adresse zu erreichen:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Wilhelmstraße 7
65185 Wiesbaden

Sofern Ihre zuständige Aufsichtsbehörde in Hessen oder Baden-Württemberg ist, empfehlen wir Ihnen die Adresse in sämtlichen ihrer Datenschutzhinweisen anzupassen!

Mit dem Gesetz zur Änderung des Verbrauchervertrags- und des Versicherungsvertragsrechts sowie zur Änderung des Behandlungsvertragsrechts vom 03.02.2026 wurden weitreichende Änderungen des Bürgerlichen Gesetzbuchs beschlossen.

Für Online-Händler ist damit insbesondere die Änderung des § 356a BGB relevant.

Die Vorschrift namens „Elektronische Widerrufsfunktion bei Fernabsatzverträgen“ besagt dass bei Fernabsatzverträgen, die über eine Online-Benutzeroberfläche geschlossen werden, der Unternehmer folgendes sicherzustellen hat:

• der Verbraucher kann auf der Online-Benutzeroberfläche durch das Nutzen einer Widerrufsfunktion eine Widerrufserklärung abgeben
• Die Widerrufsfunktion ist gut lesbar mit „Vertrag widerrufen“ oder einer anderen gleichbedeutenden eindeutigen Formulierung beschriftet
• Die Widerrufsfunktion muss während des Laufs der Widerrufsfrist auf der Online-Benutzeroberfläche ständig verfügbar, hervorgehoben platziert und für den Verbraucher leicht zugänglich sein
• In oder mit der Widerrufserklärung müssen ohne Weiteres die in Absatz 2 benannten Informationen enthalten bzw. bestätigt werden
• Die Widerrufsfunktion muss ermöglichen die Widerrufserklärung an den Unternehmer mittels einer Bestätigungsfunktion zu übermitteln
• Die Bestätigungsfunktion muss mit der Angabe „Widerruf bestätigen“ oder mit einer anderen gleichbedeutenden eindeutigen Formulierung beschriftet sein
• Die Eingangsbestätigung (mit dem Inhalt der Widerrufserklärung nach Absatz 2 sowie das Datum und die Uhrzeit ihres Eingangs) muss auf einem dauerhaften Datenträger unverzüglich an den Verbraucher übermittelt werden.

In einer Pressemitteilung vom 20.11.2025 hat die Datenschutzkonferenz ihre Reformvorschläge zur Verbesserung des gesetzlichen Datenschutzes von Kindern erklärt.

Die Datenschutzkonferenz oder DSK, Abkürzung für Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, besteht aus den unabhängigen Datenschutzbehörden des Bundes und der Länder. 

In ihrer Pressemitteilung hat diese zehn Änderungen genannt. Diese Änderungen der DSGVO betreffen vor allem die Rechtfertigung zur Verarbeitung von Daten. Es soll nach dem Vorschlag der DSK nicht mehr möglich sein, dass Kinder sensible Daten, wie Gesundheitsdaten preisgeben dürfen oder Einwilligungen in Profiling und für Werbung auf der Grundlage von Persönlichkeits- oder Nutzerprofilen der Kinder erteilen können. Darüber hinaus soll es ihnen nicht möglich sein in Verarbeitungen einwilligen zu können, bei denen Entscheidungen vollständig automatisiert getroffen werden.

Beim Thema soziale Netzwerke schlägt die DSK kein Verbot vor, wie es in anderen Ländern bereits durchgesetzt wurde, sondern lediglich datenschutzfreundlichere Voreinstellungen und Systemgestaltung.

Das Amtsgerichts Düsseldorf entschied am 19.8.2025 über eine Klage wegen fehlender Information gem. der Datenschutzgrundverordnung.

Das Unternehmen schrieb im Internet eine vakante Stelle aus, auf die sich der Kläger bewarb. Aus diesem Bewerbungsverfahren erging ein Rechtsstreit. Für den Prozess gab das Unternehmen den Kläger in einer Suchmaschine ein, informierte den Kläger aber nicht über eine derartige Datennutzung.

Das Gericht stellt zunächst fest, dass die Internetrecherche eine Datenverarbeitung im Sinne des Art. 4 Nr. 2 DSGVO darstellt. Dafür ist ausreichend, dass der Name der Person in eine Suchmaschine wie Google eingegeben wird. Jede weitere Verwendung dieser gesuchten Informationen, zum Beispiel zur Verwendung im Bewerbungsverfahren oder in Schriftsätzen an ein Gericht stellt eine weitergehende Verarbeitung der Daten dar (Art. 4 Nr. 2 DSGVO). Abgesehen von der Rechtmäßigkeit dieses Vorgangs, hätte das Unternehmen unstreitig über diese Datenverarbeitung informieren müssen. Dem Kläger wurden 250 Euro Schadenersatz zugesprochen.